Auf Antrag der niederländischen, norwegischen und Hamburger Aufsichtsbehörden, veröffentlichte der Europäische Datenschutzausschuss (EDSA) am 17. April 2024 eine Stellungnahme (Opinion 08/2024) zu dem Thema: „Gültigkeit der Einwilligung bei sogenannten „Consent-or-Pay“ -Modellen“ (wir berichteten bereits im Rahmen unseres letzten Datenschutzupdates aus Europa). Nach Auffassung des EDSA liegt häufig bei den „Consent-or-Pay“-Modellen keine datenschutzkonforme Einwilligung vor. Dies begründet der EDSA damit, dass viele Nutzer der Datenverarbeitung nur zustimmen, damit sie den jeweiligen Dienst kostenlos nutzen können. Damit würden sie vor die Wahl gestellt, entweder für ihr Grundrecht auf Datenschutz zahlen oder ihre Daten preisgeben zu müssen. Dies widerspreche den Vorgaben der Datenschutzgrundverordnung an die Freiwilligkeit der Einwilligung. Als Lösung schlägt der EDSA vor, dass die Onlineplattformen eine dritte, gleichwertige Alternative anbieten sollen.
Was sind „Consent-or-Pay”-Modelle?
„Consent-or-Pay“-Modelle dienen der Finanzierung der Angebote im Internet. Vielfach findet man sie bei Verlagen und größeren Plattformangeboten. Der Nutzer kann dabei entscheiden, ob er für die Nutzung des Angebots eine Gebühr, einmalig oder als Abomodell, zahlt oder in das Tracking seiner personenbezogenen Daten einwilligt, damit diese anschließend für verhaltensbezogene Werbung verwendet werden können.
Wen betrifft die Stellungnahme des EDSA?
In seiner Stellungnahme befasst sich der EDSA nur mit der Frage, ob die Einwilligung zur Verarbeitung von personenbezogenen Daten für Werbezwecke im Rahmen von „Consent-or-Pay“-Modellen bei „großen Onlineplattformen“ datenschutzkonform ist. Weitere Leitlinien, die einen größeren Anwendungsbereich haben, sollen noch folgen: „In addition to this Art. 64(2) Opinion, the EDPB will also develop guidelines on ‘consent or pay’ models with a broader scope and will engage with stakeholders on these upcoming guidelines.“
Als große Onlineplattformen sollen unter der Stellungnahme mangels Definition in der DSGVO unter anderem folgende Anbieter gelten:
- „Onlineplattformen“, die unter die Definition von Art. 3 Buchst. i des Digital Services Act (Verordnung (EU) 2022/2065) fallen,
- sehr große Onlineplattformen gemäß Art. 33 Abs. 1 Digital Service Act (Verordnung (EU) 2022/2065) und
- Gatekeeper nach Art. 3 Abs. 1 Digital Markets Act (Verordnung (EU) 2022/1925).
Im Einzelfall will der EDSA zudem anhand der folgenden Kriterien bestimmen, ob eine Onlineplattform als „große“ Onlineplattform gilt:
- Plattformen, die viele Nutzer anziehen
- Marktstellung des Unternehmens
- Menge der Datenverarbeitungen
Voraussetzungen der Einwilligung
Bei der Einholung einer Einwilligung müssen stets alle Datenschutzgrundsätze aus Art. 5 Abs. 1 DSGVO erfüllt werden und die nachfolgende Verarbeitung der personenbezogenen Daten selbstverständlich auch den Vorgaben der DSGVO, insbesondere Art. 7 DSGVO, entsprechen. Eine datenschutzkonforme Einwilligung im „Consent-or-Pay“ setzt daher nach Auffassung des EDSA voraus, dass die Höhe der Gebühr angemessen ist und die Ablehnung der Zustimmung zur Verarbeitung der personenbezogenen Daten keine Benachteiligung des Nutzers zur Folge hat. Eine Benachteiligung könne bereits dann vorliegen, wenn Nutzer als Folge der Ablehnung keinen Zugriff auf bestimmte Inhalte, Netzwerke oder Dienste erhalten.
Jedenfalls dann, wenn diese Inhalte, Netzwerke oder Dienste
- eine herausragende Rolle spielen oder
- für die Teilnahme am gesellschaftlichen Leben oder den Zugang zu beruflichen Netzwerken entscheidend sind, und zwar umso mehr, wenn Lock-in-Effekte oder Netzwerkeffekte vorhanden sind.
In diesen Fällen fehlt es faktisch an der Freiwilligkeit. Dabei ist auch ein etwaiges Machtgefälle zu berücksichtigen. Machtgefälle, Lock-in-Effekte oder herausragende Rollen im Hinblick auf Inhalte oder Dienste dürften bei großen Plattformen häufiger vorliegen als bei anderen Anbietern, weswegen der EDSA die Verwendung von „Consent-or-Pay“-Modellen bei großen Plattformen in der Regel kritisch sieht.
Keine „Consent-or-Pay“-Modelle für großen Onlineplattformen mehr?
Damit auch große Onlineplattformen mit Lock-in-Effekten oder die eine besondere Rolle für Nutzer spielen, die Hürde der Freiwilligkeit der Einwilligung im Zusammenhang mit „Consent-or-Pay“-Modellen meistern können, schlägt der vor, Nutzern eine weitere Option anbieten. Diese dritte Option soll eine gleichwertige Alternative für Nutzer zu „Consent-or-Pay“ sein.
Gleichwertige Alternativen: Denkbare Alternativen ohne Tracking oder Gebühren werden in der Praxis bereits eingesetzt, wie beispielsweise das Ansehen eines Videos mit Produktwerbung oder das Einspielen kontextbezogener Werbung. Beides erfordert keine Verarbeitung personenbezogener Daten.
Welche Auswirkungen hat die Stellungnahme des EDSA?
- Zunächst einmal erinnert der EDSA lediglich an die Voraussetzungen an eine wirksame Einwilligung. Diese sind stets und von jedem Marktteilnehmer, der sich auf eine Einwilligung verlassen möchte, sorgfältig zu prüfen.
- In seiner Stellungnahme macht er zudem deutlich, dass „Consent-or-Pay“ nicht bei jeder großen Onlineplattform künftig tabu ist, sondern nur dort, wo aufgrund eines Machtgefälles, von Lock-in-Effekten oder herausragende Rollen im Hinblick auf Inhalte oder Dienste (hierunter fällt für den EDSA unter Umständen auch der Zugang zu Social Media) dem Nutzer faktisch keine echte Wahl lässt.
- Selbst wenn aber die Freiwilligkeit der Einwilligung aufgrund dieser Umstände zweifelhaft erscheint, können die großen Onlineplattformen dennoch zumindest ein „Consent-or-Consent-Light-or-Pay“ verwenden. Das heißt, sie müssen lediglich eine weitere, gleichwertige Alternative anbieten.
Insofern ist die Stellungnahme eher klarstellender als revolutionärer Natur. Trotz des beschränkten Adressatenkreises ist aber aufgrund der eher vagen Definition des EDSA zu großen Onlineplattformen Vorsicht auch für andere Onlineplattformen geboten, jedenfalls dann, wenn bei ihrem Angebot ein größeres Machtgefälle oder Lock-in-Effekte bestehen oder es eine herausragende Rollen im Hinblick auf Inhalte oder Dienste einnimmt.
Hinweis: Die Stellungnahme des EDSA ist nicht bindend. Allerdings entfaltet sie eine mittelbare Bindungswirkung: Die nationalen Aufsichtsbehörden sind prinzipiell nicht an die Aussagen des EDSA in seinen Stellungnahmen gebunden. Allerdings sollten sie diese befolgen, da der EDSA ansonsten einen bindenden Beschluss erlassen kann. Insofern werden die deutschen Aufsichtsbehörden die Stellungnahme künftig bei ihren Prüfungen berücksichtigen.